pasBill pasGates a écrit 16062 commentaires

tu remarqueras que les petits gars de OpenAFS préconisent la dernière version qui corrige le tout (bon ce serait bien qu'ils backportent un correctif tout de même sur la version de maintenance, mais c'est mon avis), avec une analyse sensée et factuelle

Je l'ai bien remarque oui, et je me demandes comment un truc aussi gros a mis aussi longtemps a etre demasque, ce qui me fait dire que leurs procedures de test ne sont pas au point et qu'il est peu utilise. Parce que pour le demasquer il n'y avait rien de specifiquement exotique a faire hein, des softs qui ecrivent ailleurs qu'a un offset de 4K c'est hyper frequent(suffit qu'un soft update un fichier a un offset particulier plutot qu'en creer un).

- je relevais que ce point n'a pas été traité avec le sérieux approprié (àmha) par ta société qui propose d'acheter ou de migrer vers la dernière version ou de se passer de la fonctionnalité pour ne plus être exposé (ce qui n'est pas ce qui est attendu par des clients qui paient et attendent une réponse appropriée pour _leur_ cas, dans des délais raisonnables)

Ah bon j'etais pas au courant ? Le patch sur lequel on bosse doit etre uniquement dans mon imagination alors.

Sur http://www.openafs.org/pipermail/openafs-announce/2009/00030(...) tu vois que le souci 1 est corrigé par la nouvelle version (et touchait tout le monde de toute façon, ça a marché jusqu'à maintenant - par chance peut-être - pourquoi ça ne marcherait plus ?) et que le problème 2 ne touche que les versions expérimentales (hypothèse que j'avais prise, une version stable ou de maintenance étant moins risquée pour utilisation en prod' àmha, ce en quoi j'avais raison).

J'ai bien compris qu'ils l'ont corrige merci, le probleme c'est que ce probleme ait tout simplement existe. C'est un FS hein, l'ecriture des donnees c'est genre sa fonction principale avec la lecture. C'est un bug enorme, le fait qu'ils s'en soient rendu compte que maintenant ne donne certainement pas confiance vis a vis du logiciel, le recommander comme solution pour assurer la sauvegarde de donnees c'est pas franchement une bonne idee si tu veux mon avis.

Demandes a IBM, ils doivent le savoir vu qu'ils detiennent le record du plus grand nombre de brevets detenus.

Oups, Microsoft a offert le nombre faramineux de *0* brevets au libre ... Ils n'ont même pas pris la peine de clarifier leur position vis à vis de Mono, à croire qu'ils prennent à malin plaisir à maintenir des propos ambigüs à ce sujet.

Vraiment ? C'est drole, parce que MS a un nombre de brevets faramineux, notamment sur les web services, sur OpenXML, etc... et ces brevets sont utilisables par les projets libres sur ces technos.

Pour rigoler, on devrait comparer le nombre de développeurs qu'IBM et Microsoft paient pour faire du logiciel libre, le fric dépensé sur des projets libres, la stratégie adoptée vis à vis du libre, de la publicité générée autour du libre (ou plutôt du FUD dans le cas de Microsoft, Get the facts ou les éructations de Monkey boy Ballmer) etc ... Après on s'étonne encore de la différence de traitement.

Mais on s'en fout un peu de ca, c'est pas le sujet. Pourquoi donc est-ce que le bras droit d'IBM pourrait cacher ce que fait le bras gauche d'IBM ?

ah tiens, tu la ramènes même avec SMB2 (*) ?

Oh c'est sur que je la ramenes, entre un bug quand tu envoies qqe chose de malforme et un FS qui n'ecrit pas correctement des donnees il y a un monde de difference.

Pour OpenAFS, tu parles d'une version de développement si tu avais quoté les bonnes parties :
1.5.65 is also the most recent in the series of releases intended to provide new experimental features
Il y a une version 1.4.11 http://www.openafs.org/release/latest.html qui correspond à la version stable (moins risquée).

C'est quelle partie de Due to data loss issues present in all versions of OpenAFS prior to 1.5.62 que tu as ratee ?

(*) http://linuxfr.org//~Dabowl_92/28752.html ya pas à dire SMB2 : vous l'éteignez pour ne pas être vulnérable, c'est pratique pour un serveur de fichiers (à fuir... pas mal d'entreprises n'étant pas en seven encore...). Pratique pour ceux ayant migré prématurément en vista...

Et quand Apache(ou autre soft) il est vulnerable, tu fais quoi pour pas etre vulnerable a par l'eteindre ? Surtout que cela n'empeche absolument pas l'echange de fichiers vu que SMB1 est encore la.

Mais bon, j'oubliais qu'il est absolument impensable d'oser critiquer un projet libre sans se prendre qqe chose en retour, j'ai blesse l'amour propre de certains visiblement en signalant un probleme dans un projet libre !

Si tu veux faire ce que tu envisages, tu peux regarder du coté de openafs ( http://www.openafs.org/ ), le coté partage de fichier sera plus ou moins résolu mais il faut penser à upgrader les lignes internet car 512kb/s car c'est un peu court.

Euh ouais...

Due to data loss issues present in all versions of OpenAFS prior to 1.5.62 and believed to be in IBM AFS, all Windows users are urged to upgrade.

On va dire que ca donne pas super confiance...

Va sur uspto.gov, fais une recherche sur les brevets appartenant a IBM, tu enleves les ~500-1000 qu'IBM a "offert" au libre, et tu regardes les milliers qui reste.

C'est rigolo, je peux te trouver un petit millier de trucs d'IBM qui posent probleme aussi, mais bizarrement personne ne met IBM dans le meme panier.

Tu ne répond quand même pas au principal, avec le compte admin sous Windows, tu tournes tous les programmes sous root, même si tu fait du word, même lorsque tu manipules des fichiers avec ton explorateur, même si tu ne fais pas du web...

Avec sudo, tu n'est sous root que lorsque tu le demandes. Un bogue dans oowriter n'est pas aussi dangereux car tu ne le lances pas en root... Bref, le risque de faire des conneries sur le système est bien moindre.

a) Mais pourquoi compares tu un compte admin sous Windows a un compte non-admin sous Linux ? UAC est l'equivalent de sudo dans les comptes non-admin Windows, ca ne manque pas

b) Je t'ai montre par A+B que si le compte peut utiliser sudo, alors au final ca revient au meme. On s'en fout que oowriter ne tourne pas en root, si il permet d'inserer le malware sur le compte utilisateur les carottes sont cuites, au prochain sudo le malware passera root.

Que tu t'en fiches, je le comprends bien mais moi pas. Techniquement c'est faisable mais cela n'a pas encore été fait et surtout, cela ne toucherait en général qu'une personne et il s'agit de modifier des fichiers de scripts lisibles par l'homme.

Ca n'a pas encore ete fait ? Mais tu reves mon cher, ca se fait depuis longtemps, je l'ai pas inventee cette technique !

Quand a toucher une personne, une fois que le malware a le mot de passe, il passe root et c'est toute la machine qui est verolee.

Le scénario que tu montres est possible mais je ne l'ai jamais vu depuis que je bosse sur Linux et cela fait plus de 10 ans...

Que tu l'aies vu ou pas, on s'en fiche un peu, techniquement c'est clair et net.

Il y a donc plus qu'une nuance entre un clic sur une page web et t'es mort et une attaque en plusieurs étapes qui nécessite d'aller changer le fichier bashrc...

Vraiment ? C'est quoi la difference entre editer le fichier .bashrc et s'ajouter dans les entrees de la base de registre ? Aucune, si tu regardes les malware sous Windows ils sont presque tous du type suivant : shellcode execute dans une appli vulnerable (Firefox, IE, ...) qui downloade depuis le web un soft et l'execute.

Serieusement, c'est quoi la complexite d'ecrire un soft qui edite .bashrc, change $PATH, ... ? Aucune, un newbie peut le faire. Tout le boulot est dans le shellcode.

Cela dis, mes utilisateurs ne sont pas sudo, ni moi. Je fais un su pour passer sur un autre compte qui est lui sudo ! Mais ton attaque marche aussi avec su... Bref, ton attaque est générique et marche sur tout OS tant que l'OS ne fait pas un contrôle "NOM de l'exécutable / checksum" et n'interdit pas les doublons dans les noms des binaires.

Tout a fait, j'ai jamais dit que c'etait limite a Linux, mais elle montre bien a quel point sudo n'amene aucune securite.

Seule les commandes sudo sont root pas toute ! Dans ton navigateur ou ton lecteur de mail, tu n'est pas root... Bref, tu n'est presque jamais root. Il faudrait être fou pour lancer acroread en root par exemple.

Mais mon cher, c'est parce que tu n'as aucune experience en securite que tu crois que c'est different.

Un malware entre sur le compte utilisateur sous Linux.
Ce malware :
- change le $PATH et mets son sudo a lui qui prend ton mot de passe au debut de la liste
- se relance au login de l'user pour survivre reboots et shutdowns
- executes le sudo original pour ta commande lorsque tu lances un sudo histoire que tu ne remarques rien

Hop, il a le mot de passe, il peut lancer le sudo qu'il veut, et il y a largement assez de softs sudo-enabled pour prendre le controler du systeme.

Un compte utilisateur qui a des privileges sudo, au final c'est pas different d'un compte admin, tu finiras bien a un moment par faire ton sudo, et a ce moment tu l'auras profond.

Le seul effet de sudo par rapport a un compte admin c'est de retarder l'infection un peu.

Microsoft l'a bien compris d'ailleurs, ils sont pas (tous) fous : 1. leur windows mobile est opengl. 2. Leur Xbox est directx 9 (et pas 10, ni 11. C'est un dérivé de directx 8). Leurs développements actuels basé sur Surface et 'backportés' sur Seven sont OpenGL.

Je me demande si tu sais de quoi tu parles. La XBox 360 utilise DirectX 9, a l'epoque ou la XBox 360 est sortie, DirectX 10 et 11 n'existaient pas, je vois mal comment elle aurait pu les utiliser. D'ailleurs DirectX 11 ajoute plusieurs features qui sont assez directement en relation avec la XBox 360.

Les softs pour Surface quand a eux ont 2 plateformes de developpement : WPF et XNA, qui sont les 2 bases sur DirectX

Aux USA le pourboire c'est genre 18-20% de l'addition, je doutes que tu laisses 10 euros sur une addition de 50 euros...

Disons que si tu limites à un vote par IP par minutes, cela dilue le problème non ? Si il y a plus de vote tu bannies l'ip.

Ben pas vraiment, il y a des proxys pour ca...

Vu le nombre de personne qui pourrait être concerné (qq millions) est-ce que ce genre de triche pourrait être significatif dans les chiffres ?

Est-ce qu'il n'existe pas des méthodes issue de la lutte anti-spam par courrier et dans les commentaires qui peuvent être appliqué ici ?

J'imagines que si chaque personne a un certificat et qu'il doive signer ses stats ca pourrait rendre la chose plus dure, mais va obliger tout le monde a recevoir un certificat, et empecher la distribution de certifs. bidons... pas simple comme probleme...

Ce n'est pas parce que plus de failles ont été trouvées dans apache qu'il a automatiquement été attaqué plus souvent.

C'est peu gratifiant pour apache de souligner qu'il est possible de se retrouver troué plus souvent en étant testé moins souvent. Après tout dépend de la gravité des failles et du temps où l'on reste sans patch correctif.

Oui c'est possible, mais quand on regarde les softs de tout genre, on se rend compte que plus ils gagnent en popularite, plus on trouve de failles dedans(Firefox, Mac OS X, Linux, ...), ca touche trop de softs pour etre du au hasard.

Mais ca ne change rien de ce que tu as avec Linux et sudo mon cher, vas donc lire un peu comment sudo fonctionne et tu comprendras

https://help.ubuntu.com/community/RootSudo

Isn't sudo less secure than su?

The basic security model is the same, and therefore these two systems share their primary weaknesses. Any user who uses su or sudo must be considered to be a privileged user. If that user's account is compromised by an attacker, the attacker can also gain root privileges the next time the user does so. The user account is the weak link in this chain, and so must be protected with the same care as root.

Le compte admin sous Windows d'un point de vue securite est equivalent a un user avec sudo sous Linux.

Mais qui te dit que c'est MS qui a decide du protocole ? Ces mesures sont faites depuis des annees, bien avant que Linux ait commence a bouffer Unix et autres.

Sinon, desole mais c'est pas le meme marche du tout meme si techniquement ca a des ressemblances, les possibilites entre une appliance et un serveur ne sont pas du tout les memes, tu n'as que tres tres peu de controle sur l'appliance, pas de support de l'OS similaire, etc...

C'est pas par hasard que les routeurs ne sont pas dedans non plus, parce que bon, un routeur tu peux aussi faire ca avec un PC hein, tu peux meme diriger une machine a cafe avec un PC si tu veux.

Toutes les "box" chez les particuliers tournent sous linux à ma connaissance... Je pense qu'il en est de même de tous les petits disques NAS du marché à destination des particuliers et des PME (LaCie...). Ces machines ne sont à ma connaissance jamais comptabilisées.

Ben non, car ce n'est pas le meme marche, ca c'est pour les OS embarques (ou Linux ecrase WinCE de ce que j'en sais)

Linux et ? J'ai dit que personne n'utilisait Linux ? Non

http://technet.microsoft.com/en-us/library/cc507861.aspx

On new installations, by default, the first user account created is a local administrator account in Admin Approval Mode (UAC enabled). All subsequent accounts are then created as standard users.

Tu m'expliques ce qu'il y a de problematique dans la config par defaut ?

Tout comme sous Linux il faut un admin, le 1er compte cree, ensuite par defaut tous les autres sont des users standard, tout ce qu'il y a de plus normal.

Pourtant en termes d'équipements serveurs, mon entreprise doit représenter une part conséquente de l'équipement français : je travaille par exemple sur un projet qui implique un développement de plusieurs grappes hardware représentant un peu plus de 8 000 CPUs supplémentaires, tous sous Linux.

Tu penses ? T'as remarque que la plupart des applications metiers(compta, etc...) existent sous Windows et pas sous Linux ? C'est pas par hasard...

Sinon, 8000 CPUs c'est gros mais pas si enorme, quand je regardes notre boite, on a dans les 300'000 machines, et c'est sans compter les datacenters de Bing/Hotmail/...

Si ta miss est admin sous Vista, c'est purement de sa faute, car il a tout ce qu'il faut pour ne pas en avoir besoin.

Quand a UAC ne pas etre une feature de securite, cela me fait rire: c'est juste pour embeter les utilisateurs alors?

Non, c'est pour forcer les developpeurs a faire les choses correctement, a force que les utilisateurs se plaignent que leurs softs font des pop-ups regulierement, les editeurs vont devoir corriger leur bordel.

C'est non seulement tres specifique, mais ca represente une part infime du marche serveur surtout

On peut regarder le nombre d'unites si tu veux, ca n'ameliore pas les choses pour Linux au contraire : http://www.thestreet.com/_yahoo/newsanalysis/itmanagement/10(...)

Microsoft picked up 2 percentage points, bringing its market share to 67.1% of servers shipped during the second quarter, according to data from Gartner. Of 2.06 million servers shipped overall, nearly 1.4 million came preloaded with proprietary OS. That works out to an extra 77,650 Microsoft-based servers sold during the quarter, year over year.
Linux accounted for 22.8% of server shipments, down from 23.1% the year before.

3x plus de serveurs sont livres avec Windows qu'avec Linux...

Et quand tu te balades avec ta clef USB et tu tombes sur un Linux avec un kernel < 2.6.26 tu fais quoi ? Meme probleme.

Bref, inutile de pointer le doigt sur MS, parce que Linux ne resoud pas le probleme de son cote non plus, dans les 2 cas il faut une update pour la majorite des machines, que ce soit un driver ajoute ou un kernel plus frais.

C'est un argument des editeurs proprios ? J'etais pas au courant.